Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Zwischen der Kundin bzw. dem Kunden von Larily (Verantwortliche) und Emily Lechthaler, Larily, Kurzglend 8b, 6911 Lochau, Österreich (Auftragsverarbeiterin). Stand: 6. November 2026.

1. Gegenstand und Dauer. Larily betreibt für die Verantwortliche die Seiten und Apps, die sie mit Larily veröffentlicht, und verarbeitet dabei personenbezogene Daten von deren Besucherinnen und Besuchern. Der Vertrag gilt, solange die Verantwortliche Larily nutzt, und danach bis zur Löschung der Daten nach Punkt 9.

2. Art und Zweck. Speichern, Anzeigen, Versenden und Löschen von Daten, damit die Seiten und Apps funktionieren:

• Formulare und Anfragen;
• Buchungen, Termine und Wartelisten;
• Besucher-Konten (Mitgliederbereich);
• hochgeladene Fotos;
• Zahlungen über das eigene Stripe-Konto der Verantwortlichen;
• E-Mails an Besucher, zum Beispiel Bestätigungen, Erinnerungen und Dank-Mails;
• Besucherzahlen ohne Cookies.

3. Daten und Betroffene. Betroffen sind Besucherinnen und Besucher, Mitglieder, Kundinnen und Kunden sowie Interessenten der Verantwortlichen. Verarbeitet werden die Daten, die die Verantwortliche in ihrer Seite oder App abfragt, typischerweise:

• Name, E-Mail-Adresse und Telefonnummer;
• Nachrichten, Termin- und Buchungsdaten;
• Fotos;
• Anmeldedaten für den Mitgliederbereich;
• technische Daten wie IP-Adresse, Zeitpunkt und Browser;
• Besucherinnen und Besucher, die den Kunden-Assistenten nutzen: Chat-Nachrichten, freiwillig Name, E-Mail, Telefon. Löschfrist: 12 Monate.
• Belege-Assistent: Inhalte von Eingangsrechnungen (Namen, Adressen, UID, Bank- und Kontaktdaten von Geschäftspartnern); Empfänger: die vom Betrieb angegebene Steuerberatung. Löschfrist der Dateien: 90 Tage nach dem Versand, spätestens 30 Tage nach dem Ende des Abos; ohne Abo 30 Tage nach dem Hochladen.
• Auftrags-Assistent: Namen, Anschriften, Kontaktdaten, UID und Auftragsinhalte von Kundinnen und Kunden des Betriebs; Zeitpunkte von Öffnen und Annahme der Angebots-Seite. Empfänger: die Kundin bzw. der Kunde des Betriebs (per Mail).

Besondere Kategorien (Art. 9 DSGVO), etwa Gesundheitsdaten, soll die Verantwortliche nur abfragen, wenn sie dafür eine Rechtsgrundlage hat. Sie prüft das selbst.

4. Weisungen. Larily verarbeitet die Daten nur nach dokumentierter Weisung der Verantwortlichen. Weisungen sind dieser Vertrag, die AGB und die Einstellungen, die die Verantwortliche im Studio vornimmt. Weitere Weisungen schickt sie per E-Mail an hello@larily.com. Hält Larily eine Weisung für rechtswidrig, sagt Larily das der Verantwortlichen.

5. Vertraulichkeit. Wer bei Larily Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet. Larily greift auf Inhalte nur zu, soweit das für Betrieb, Support auf Wunsch der Verantwortlichen, Sicherheit oder die Prüfung gemeldeter rechtswidriger Inhalte nötig ist. Außerdem sehen sich die Inhaberinnen von Larily Projektname, Art, Prompt und gebaute Fassung von Projekten an, um die Qualität des Bau-Assistenten zu prüfen. Einträge von Besucherinnen und Besuchern sehen sie dabei nicht.

6. Sicherheit. Larily trifft die technischen und organisatorischen Maßnahmen in Anlage 1 (Art. 32 DSGVO) und passt sie an den Stand der Technik an, ohne das Schutzniveau zu senken.

7. Unterauftragsverarbeiter. Die Verantwortliche ist mit den Unterauftragsverarbeitern in Anlage 2 einverstanden. Neue oder geänderte Unterauftragsverarbeiter kündigt Larily mindestens 30 Tage vorher per E-Mail an. Die Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Lösung zustande, kann sie den Vertrag zum Wirksamwerden der Änderung kündigen. Larily verpflichtet die Unterauftragsverarbeiter vertraglich mindestens so wie in diesem Vertrag. Übermittlungen in Drittländer erfolgen nur nach Art. 44 ff. DSGVO, zum Beispiel unter dem EU-US Data Privacy Framework oder mit Standardvertragsklauseln.

8. Unterstützung. Larily unterstützt die Verantwortliche angemessen:

• bei Anfragen Betroffener (Auskunft, Löschung, Berichtigung); im Studio kann sie Einträge selbst einsehen, exportieren und löschen;
• bei der Sicherheit, bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Behörden.

Anfragen Betroffener, die bei Larily eingehen, leitet Larily an die Verantwortliche weiter. Larily beantwortet sie nicht selbst.

9. Verletzungen des Schutzes. Larily informiert die Verantwortliche unverzüglich, möglichst innerhalb von 48 Stunden, nachdem Larily eine Verletzung des Schutzes ihrer Daten bemerkt hat. Larily teilt dabei mit, was bekannt ist (Art. 33 Abs. 3 DSGVO). Die Meldung an Behörde und Betroffene ist Sache der Verantwortlichen.

10. Ende. Löscht die Verantwortliche ein Projekt, geht die Seite sofort offline, und Larily löscht Einträge, Dateien und alle übrigen Daten des Projekts sofort. Nur Projektname, Art, Prompt und die zuletzt gebaute Fassung bewahrt Larily zur Qualitätsprüfung noch höchstens 30 Tage auf und löscht sie dann automatisch. Löscht sie ihr Konto, gehen ihre Seiten sofort offline, und Larily löscht alle Daten 30 Tage danach endgültig. In diesen 30 Tagen kann sie das Konto durch Anmelden wiederherstellen. Die Kündigung eines Tarifs allein löscht keine Daten. Gibt es Sicherungskopien, werden die Daten dort spätestens mit deren Ablauf gelöscht. Vorher kann die Verantwortliche ihre Einträge im Studio exportieren. Gesetzliche Aufbewahrungspflichten von Larily bleiben unberührt.

11. Nachweise und Kontrollen. Larily stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zeigen, dass dieser Vertrag eingehalten wird. Kontrollen vor Ort sind nach Absprache und mit angemessener Vorlaufzeit möglich, höchstens einmal im Jahr, außer es gibt einen konkreten Anlass.

12. Sonstiges. Für die Haftung gelten Art. 82 DSGVO und die AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um Datenschutz geht.

Anlage 1: Technische und organisatorische Maßnahmen

• Hosting in der EU: Seiten in Frankfurt am Main (Render), Daten in Paris (Supabase), E-Mail-Versand über Irland (Resend).
• Verschlüsselte Übertragung (HTTPS/TLS) und verschlüsselte Speicherung (Supabase, Verschlüsselung im Ruhezustand).
• Zugriffsschutz in der Datenbank: Zeilenregeln (Row Level Security) für alle Tabellen; jede Kundin sieht nur die Daten ihrer eigenen Projekte.
• Administrativer Zugriff nur für die Inhaberinnen und die Technik, über persönliche Zugänge.
• Für Kundinnen-Daten gibt es eine CSV-Ausgabe je Projekt und „Meine Daten herunterladen“ im Konto.
• Begrenzung der Anfragen bei Besucher-Login, Registrierung, Passwort-Links, Formularen, Foto-Uploads und Downloads (je Adresse, IP und Seite); Bot-Schutz beim Larily-Login; Tagesgrenzen für KI-Aufrufe.
• Wöchentliche verschlüsselte Sicherung der Datenbank in der EU (Paris), höchstens 4 Sicherungen; ältere werden automatisch gelöscht.
• Regelmäßige Updates der Software und Prüfung auf bekannte Sicherheitslücken.
• Besucherzahlen ohne Cookies, mit täglich wechselndem Zufallswert; IP-Adressen werden dafür nicht gespeichert.
• Datensparsamkeit: Beim Hochladen von Fotos durch Besucherinnen und Besucher werden Zusatzdaten wie der Aufnahmeort entfernt.

Anlage 2: Unterauftragsverarbeiter

Die Verarbeitung für den Kunden-Assistenten (Antworten auf Fragen von Besuchern) gilt für Kundinnen und Kunden, die vor dem 6. November 2026 zugestimmt haben, erst ab der Buchung des Kunden-Assistenten. Mit der Buchung stimmen sie zu. Für alle anderen ändert sich nichts.

Die Verarbeitung für den Belege-Assistenten (Auslesen von Belegen, Versand an die Steuerberatung) gilt erst ab der ersten Nutzung des Belege-Assistenten. Für alle anderen ändert sich nichts.

Die Verarbeitung für den Auftrags-Assistenten (Entwürfe von Angeboten und Rechnungen, Versand an die Kundschaft des Betriebs) gilt erst ab der ersten Nutzung des Auftrags-Assistenten. Für alle anderen ändert sich nichts.

Nicht als Unterauftragsverarbeiter gelten Anbieter, mit denen die Verantwortliche selbst einen Vertrag hat oder die sie selbst einbindet: Stripe (eigenes Konto), Einbauten wie YouTube oder Calendly, Newsletter-Anbieter.